预案不演练等于没有预案，演练不评估等于没有演练。本册回答三个"后半场"问题：如何让应急能力长在组织的肌肉里（演练体系），如何让每一步处置经得起监管与法庭的检验（合规矩阵），以及如何让一次劫难沉淀为持久免疫（复盘赋能）。
《关键信息基础设施安全保护条例》要求运营者自行或委托网络安全服务机构对关键信息基础设施每年至少进行一次网络安全检测和风险评估——演练不是选择题而是法定动作。对勒索场景，推荐"三级跃迁"的演练组合，逐级加压、逐级暴露真问题。
以勒索事件时间线为主轴的决策演练：指挥层、法务、公关围桌推演"第一小时做什么、第 4 小时向谁报告、第 24 小时对媒体说什么"。零技术成本，专练决策链与授权链——90 分钟的推演常能暴露预案中最致命的空白：无人有权批准断网。
技术团队的单科目实操：备份恢复演练（真实从备份拉起一套核心系统）、隔离切换演练（一键 VLAN 封闭的操作验证）、报告流程演练（模拟向 12387/主管部门报送）。只演练、不动生产，验证的是"预案里的每个动词是否真的会做"。
在隔离靶场或影子环境中注入真实攻击链（见下节注入库），红队模拟加密扩散、蓝队按真实预案响应。检验端到端能力：检测时效、遏制决策、取证质量、恢复验证。规模可控、全程兜底，结束后输出正式评估报告并跟踪整改。
"注入（Inject）"是演练导演组在进程中插入的事件卡，用于模拟真实勒索战役中的突发变量。以下 8 个注入覆盖从发现到复盘的完整压力谱系，可直接用于桌面推演与实战演练。
检验点：首报是否直达应急值守？技术团队能否在 15 分钟内完成初步定性与范围圈定？
检验点：赎金决策链是否按预案启动？法务是否介入？是否同步触发报告义务评估？
检验点：团队能否识别 T1490 反恢复攻击？隔离动作是否优先保护备份与域控？
检验点：证据固定（截图、哈希、时间戳）是否规范？披露与舆情预案是否激活？
检验点：对外口径是否唯一且经批准？报告时限（1/2/4 小时）此刻是否已被触发？
检验点：决策材料是否齐备（备份存活率、解密工具查询结果、业务影响量化、法律意见）？
检验点：三重校验流程是否执行？回切标准是否被业务验收结果约束而非时间压力约束？
检验点：30 日总结报告是否按期报送？整改项是否逐项验证？指标是否入库用于下一次演练对比？
检验点：委托处理协议中的安全事件通报条款是否可执行？我方是否把供应商事件纳入自身报告与评估范围？（参考真实案例：2021 年 REvil 利用 Kaseya VSA 零日漏洞，一次事件波及 17 个国家约 1,500 家组织——CISA/FBI 联合通报 AA22-131A。）
检验点：云密钥应急轮换流程是否演练过？备份是否存放于独立云账号？快照与对象锁策略是否真实生效？
以下指标构成勒索应急的"体检表"。建议每次演练记录基线，逐次对比，把能力增长画成曲线。
注：条形长度为示意性目标进度，实际目标值应结合 GB/T 20986 定级结果与业务 RTO/RPO 在预案中固化。
勒索事件的每一步处置都踩在法律义务的网格上。把义务清单化、时限化、责任化，是法务参与应急的核心方式——也是事后不被"迟报、瞒报、处置不当"追责的基本盘。
| 义务类型 | 法律依据 | 触发条件与内容 | 时限 |
|---|---|---|---|
| 网络安全事件报告 | 《国家网络安全事件报告管理办法》（2025-11-01 施行）、《网络安全法》 | 较大及以上事件：报告事件基本情况、处置措施、初步影响；勒索事件还须报告赎金金额、方式、日期 | 关基 1h / 机关 2h / 其他 4h；先报基本情况、后及时补报研判结论 |
| 事件处置总结报告 | 《国家网络安全事件报告管理办法》第八条 | 事件原因、处置措施、危害、责任追究、整改、教训 | 事件处置结束后 30 日内 |
| 个人信息泄露通知 | 《个人信息保护法》第五十七条 | 发生或可能发生泄露、篡改、丢失：立即采取补救措施，并通知履行个人信息保护职责的部门和个人（能够避免危害的可豁免通知） | 立即 |
| 数据安全保护义务 | 《数据安全法》 | 开展数据处理活动应建立全流程安全管理、应急处置机制；重要数据处理者须定期开展风险评估 | 常态义务，事件后强化 |
| 网络日志留存 | 《网络安全法》第二十一条第（三）项 | 采取监测、记录技术措施，留存相关网络日志不少于六个月——取证溯源的时间线基础 | 常态义务（不少于六个月） |
| 刑事报案 | 《刑法》第二百八十五条、第二百八十六条；《办法》第九条 | 涉嫌犯罪的应及时报案、向公安机关报案并配合侦查，留存现场证据 | 事件发生后及时 |
| 关键信息基础设施专项 | 《关键信息基础设施安全保护条例》（国务院令第 745 号） | 关基运营者：专门安全管理机构、负责人背景审查、每年至少一次网络安全检测与风险评估、重大事件报告与优先保障恢复 | 常态义务（年度） |
| 网络数据安全管理 | 《网络数据安全管理条例》（国务院令第 790 号，2024-09-24 公布，2025-01-01 施行） | 建立网络数据安全管理制度与技术措施；发生网络数据安全事件时立即处置并按规定报告；委托处理、共享数据须约定安全义务，MSP/云服务商遭入侵引发连锁事件时委托方自身报告义务不因此豁免 | 常态义务（2025-01-01 起施行） |
2023 年 7 月，工业和信息化部与国家金融监督管理总局联合印发《关于促进网络安全保险规范健康发展的意见》，将网络安全保险定位为"网络安全风险减量的重要手段"。对勒索风险，保险的意义不仅是经济补偿，更是引入第三方应急资源与合规约束的杠杆。
主流网络安全险对勒索场景的保障通常包括：应急响应费用（取证、恢复、外部专家）、营业中断损失、数据恢复费用、赎金谈判与合规审查费用（在合法合规前提下）、数据泄露处置与法定通知费用。部分保单还提供"应急热线+预置服务商网络"——出险即获得专业处置团队，这对中小组织价值巨大。
①如实告知：投保时的安全基线问卷务必真实，虚报是拒赔高发原因；②报案时限：出险后通知保险人存在时限要求，预案中应写入报案动作；③免赔与限额：关注单次事件限额、免赔额与营业中断损失的计算方式；④指定服务商：优先选择允许使用保单服务商网络的方案；⑤合规联动：理赔所需的取证与报告材料（30 日总结报告、证据链）与第一册、第二册的动作天然衔接——做好应急，就是保护好理赔权益。
事件的价值在复盘中兑现。一个成熟的应急体系，会把每一次演练与真实事件的"时间线、决策、失误"沉淀为可检索、可训练、可度量的组织记忆。
还原完整时间线：从第一个告警到最后一次回切。采用"四问法"：原计划是什么？实际发生了什么？为什么有偏差？下次改什么？全程对事不对人，确保信息充分暴露。
按《办法》第八条报送总结报告（原因、措施、危害、责任追究、整改、教训）；同步建立整改台账，逐项明确责任人、期限与验证方式——整改项进入下一次演练的 inject 验证清单。
MTTD/MTTC/恢复时长/备份有效率等指标入库形成趋势线；IOC、TTP、勒索信样本、处置 SOP 修订进入威胁情报与检测规则库——让下一次攻击面对的是"打过疫苗"的防御体系。
三册合观：上册解决"怎么处置"，中册解决"怎么恢复"，下册解决"怎么不再跌倒"——构成一个从事件到能力、从恢复到进化的完整闭环。
美国网络安全与基础设施安全局勒索防御与应急权威指南中心
欧洲刑警组织等联合发起，100+ 免费解密工具与防勒索知识库
国家网络安全事件报告与监测预警的官方支撑机构
国内勒索病毒解密与处置服务平台（2025 年新增 8 款解密支持）